Governance als Schlüssel für den ­verantwortungsvollen Einsatz von ­persönlichen AI Agents

‹ ›

(Source: Anusa / stock.adobe.com)

(Source: Anusa / stock.adobe.com)

Lena Götzinger, Rechtsanwältin (Rechtsanwaltskammer Frankfurt am Main), ­Legal Counsel für Data, AI & Outsourcing bei einer schweizerischen Bank. (Source: zVg)

Lena Götzinger, Rechtsanwältin (Rechtsanwaltskammer Frankfurt am Main), ­Legal Counsel für Data, AI & Outsourcing bei einer schweizerischen Bank. (Source: zVg)

Dr. iur. Anne-Sophie Morand, Rechts­anwältin, LL.M., Data & AI Governance Counsel. (Source: zVg)

Dr. iur. Anne-Sophie Morand, Rechts­anwältin, LL.M., Data & AI Governance Counsel. (Source: zVg)

/

Viele Arbeitnehmende haben sich gerade erst daran gewöhnt, dass künstliche Intelligenz (KI) sie in der täglichen Arbeit unterstützt, etwa indem sie Texte übersetzt, E-Mails formuliert und Präsentationen vorbereitet. In dieser Form bleibt KI meist ein reaktives Werkzeug: Sie wartet auf eine Eingabe, erzeugt einen Vorschlag und überlässt die weitere Handlung dem User.

Bring Your Own Agent

Über solche Chatbots und klassische AI Assistants hinaus wird in der Öffentlichkeit seit einiger Zeit vermehrt das Poten­zial sogenannter AI Agents diskutiert. Das sind KI-basierte Systeme, die Ziele verfolgen, Zwischenschritte planen, externe Tools oder Unternehmenssysteme ansteuern und dadurch digitale Handlungen auslösen können (1). Anschaulich zeigt sich das Potenzial für Unternehmen etwa im Kundenservice: AI Agents können Anfragen analysieren, Informationen aus internen Systemen abrufen, Standardfälle selbstständig bearbeiten und komplexe Anliegen an menschliche Mitarbeitende eskalieren (2). Damit verschiebt sich die Rolle von KI im Unternehmenskontext von einer reaktiven Technologie hin zu KI-Systemen, die zukünftig Aufgaben in definierten Grenzen selbstständig vorbereiten, koordinieren oder ausführen können.

Der Einsatz von AI Agents kann für Mitarbeitende attraktiv sein, weil AI Agents auf individuelle Arbeitsweisen, Präferenzen und Routinen zugeschnitten werden können und dadurch grosse Produktivitätsvorteile für die Arbeit versprechen.

In der Schweiz dürfte Bring Your Own Agent (BYOA) nach Einschätzung der Autorinnen aktuell zwar noch kein Praxisphänomen sein. Die zunehmende Verfügbarkeit und Leistungsfähigkeit spezialisierter AI Agents im privaten Alltag – begünstigt unter anderem durch Low-Code- und No-Code-Plattformen, welche die technischen Hürden für den Bau persönlicher AI Agents senken – sowie die damit verbundene Vertrautheit im Umgang mit solchen Systemen dürften jedoch dafür sorgen, dass das Thema auch im Schweizer Unternehmenskontext zukünftig an Bedeutung gewinnt. Vor diesem Hintergrund stellt sich die Frage, wie Unternehmen in Zukunft mit persönlichen AI Agents im Arbeitskontext umgehen sollen.

Nicht freigegebene beziehungsweise unzureichend kontrollierte, persönliche AI Agents können erhebliche Risiken schaffen, insbesondere wenn sie etwa Zugriff auf vertrauliche Informationen, Personendaten, Geschäftsgeheimnisse, Kommunikationskanäle oder operative Systeme erhalten. Ein striktes Verbot persönlicher AI Agents wäre zwar möglich, dürfte angesichts des erwarteten Produktivitätsnutzens und der steigenden Nachfrage seitens der Mitarbeitenden in Zukunft jedoch wohl nicht gewünscht sein. Als eine praxisorientierte Handlungsoption – neben dem Zurverfügungstellen von AI Agents durch das Unternehmen – erscheint ein kontrollierter BYOA-Ansatz, bei dem persönliche AI Agents einem unternehmensinternen Prüf- und Freigabeprozess unterstellt und damit in die bestehenden Governance-Strukturen eingebettet werden. Dies schliesst nicht aus, ihren Einsatz – etwa in bestimmten Bereichen – gleichwohl vollständig zu untersagen.

Begriffliche Einordnung: AI Assistants, AI Agents und Agentic AI

Eine erste Schwierigkeit beim Umgang mit AI Agents liegt in der Terminologie, da bislang keine international oder national normierte Definition dieser Begriffe besteht. In der Praxis werden Begriffe wie "AI Agent", "Agentic AI", "Agentic AI System" oder "AI Assistant" häufig uneinheitlich und teilweise synonym verwendet, auch wenn sie sich hinsichtlich ihrer Rolle im konkreten Anwendungskontext unterscheiden.

Während Agentic AI eine Funktionsweise von KI beschreibt (namentlich die Fähigkeit, Ziele mit einem gewissen Grad an Autonomie, Planung und Tool-Nutzung zu verfolgen), ist ein AI Agent die konkrete softwarebasierte Einheit, durch die agentisches Verhalten praktisch umgesetzt wird. Für die Zwecke einer Governance könnten die genannten Begriffe wie folgt definiert werden:

AI Assistant: Ein AI Assistant ist eine nutzerorientierte KI-Anwendung (z. B. ein Chatbot), die User bei Aufgaben wie Informationssuche, Textgenerierung, Analyse oder Entscheidungen unterstützt. Er handelt typischerweise reaktiv auf Eingaben und bleibt eng an die Weisungen der Nutzenden gebunden.

AI Agent: Ein AI Agent ist eine softwarebasierte Einheit, die innerhalb eines definierten Ziels, einer Rolle und eines vorgegebenen Handlungsspielraums Kontext verarbeitet und Handlungen plant. Ein AI Agent steuert zudem zum Beispiel interne oder externe Tools, APIs, Datenquellen, Systeme oder Workflows an und kann dadurch digitale Handlungen auslösen. Der wesentliche Unterschied zum blossen AI Assistant liegt im höheren Grad an Zielorientierung, Autonomie und Handlungsausführung.

Agentic AI: Agentic AI bezeichnet eine Funktionsweise beziehungsweise ein Systemparadigma von KI. Der Begriff beschreibt damit keine einzelne softwarebasierte Einheit, sondern das agentische Fähigkeitsprofil beziehungsweise die übergreifende Architektur. In der Praxis wird Agentic AI regelmässig durch einen oder mehrere AI Agents realisiert, die als Komponenten einzelne Aufgaben ausführen oder in einem Multi-Agent-System koordiniert zusammenwirken.

Agentic AI System: Ein Agentic AI System ist ein KI-basierter Dienst, der agentisches Verhalten durch einen oder mehrere AI Agents, Instruktionen, Tools, Datenquellen, Schnittstellen, Speicherfunktionen, Orchestrierungslogik und Kontrollmechanismen ermöglicht. Wirken mehrere spezialisierte AI Agents koordiniert zusammen, etwa über einen Orchestrator oder durch direkte Übergaben, spricht man von einem Multi-Agent-System. Für Governance-Fragen ist regelmässig das Gesamtsystem entscheidend, weil operationelle Risiken aus dem Zusammenspiel von Autonomie, Tool-Zugriff, Systemintegration und Handlungsausführung entstehen.

In diesem Beitrag wird der Begriff AI Agent verwendet, weil sich Governance-Fragen im Unternehmenskontext typischerweise dort verdichten, wo ein konkreter Agent über Berechtigungen, Rollen und Handlungsspielräume verfügt (3). 

Herausforderungen bei AI Agents

Der Einsatz von AI Agents ist mit inhärenten operationellen Risiken verbunden, die teilweise bereits von klassischen KI-Systemen bekannt sind – etwa im Zusammenhang mit Cybersecurity-Ereignissen, fehlerhaften Ergebnissen, dem Digital Rights Management oder Datenmanagement. Beim Betrieb von AI Agents können sich diese Risiken akzentuieren, da solche Systeme regelmässig vernetzt sind und (eigene) Ziele verfolgen, Zwischenschritte planen, externe Tools nutzen, Daten aus verschiedenen Quellen zusammenführen und digitale Handlungen auslösen können. Dadurch wird es herausfordernder, systemische beziehungsweise menschliche "Überwachung" und Nachvollziehbarkeit sicherzustellen.

Aus der Perspektive des Datenschutzes kann beispielsweise zu berücksichtigen sein, dass AI Agents – je nach Ausgestaltung und Berechtigung – Daten autonom sammeln, analysieren oder in neuen Kontexten verwenden. Wenn ein AI Agent etwa auf verschiedene interne Systeme zugreift und dadurch Informationen zusammenführt, die für sich genommen anonym sind, kann deren Kombination allenfalls neue Rückschlüsse auf bestimmte Personen zulassen. Die dargestellten Bearbeitungen können zudem mit datenschutzrechtlichen Grundsätzen wie Zweckbindung, Verhältnismässigkeit und Transparenz in Konflikt geraten. Diesen Herausforderungen ist durch angemessenes Datenmanagement sowie weiteren und organisatorischen Massnahmen Rechnung zu tragen.

AI Agents können auch neue Cybersicherheitsrisiken schaffen. Besonders anfällig sind sie für Manipulationen, weil sie legitime Anweisungen nicht immer zuverlässig von angreifergesteuertem Inhalt unterscheiden können. Ein zentrales Risiko ist die indirekte Prompt Injection: Angreifer können etwa in Dokumenten, Webseiten, E-Mails oder Tickets maschinenlesbare Anweisungen verstecken, die ein AI Agent bei der Verarbeitung dieser Inhalte übernimmt. Dadurch können Ziele, Aufgabenauswahl oder Entscheidungswege manipuliert werden. Im schlimmsten Fall kann dies dazu führen, dass vertrauliche Daten offengelegt, unzulässige Tool-Aufrufe ausgelöst oder operative Systeme verändert werden (4). Gegen solche Ereignisse sind angemessene technische und organisatorische Massnahmen zu ergreifen.

Hinzu treten weitere operationelle Risiken, die sich in Form von finanziellen und nicht-finanziellen Schäden realisieren können. Während ein klassisches KI-System bei einer Kunden­reklamation allenfalls prüft, ob nach internen Leitlinien ein Rückgaberecht besteht, und eine Antwort vorschlägt, könnte ein AI Agent – sofern ihm entsprechende Berechtigungen eingeräumt wurden – selbst eine Rückerstattung auslösen, Kundendaten ändern oder eine Bestellung im System löschen. Fehlerhafte Zielinterpretationen, ungenügende Datenqualität, Halluzinationen oder unklare Prozessgrenzen können damit unmittelbar zu finanziellen Schäden, Fehlbuchungen, oder unangemessener Kundenkommunikation führen (5). Ein besonderes Augenmerk sollte auf Konstellationen gerichtet werden, in denen mehrere, bereits kontrollierte AI Agents zusammenwirken und erst durch dieses Zusammenwirken ein sogenanntes "Agentic AI System" entsteht, dessen Verhalten nicht mehr allein aus der Prüfung der einzelnen Komponenten ableitbar ist. Unerwünschte Folgen können sich dabei etwa aus fehlerhafter Delegation, widersprüchlichen Zielvorgaben, unklaren Zuständigkeiten und Berechtigungen, Kettenreaktionen und weitergegebenen Fehlannahmen ergeben.

Zusätzliche Herausforderungen bei Bring Your Own Agent

Bei einem BYOA-Ansatz kommen gegenüber vom Unternehmen bereitgestellten AI Agents zusätzliche Governance-Herausforderungen hinzu. Zunächst ist klar, dass ein AI Agent nicht als Mitarbeiter behandelt werden kann. Zur Leistung von Arbeit verpflichten können sich Menschen, nicht aber Maschinen. Auch aus Perspektive eines wirksamen Risikomanagements darf Verantwortung nicht an AI Agents delegiert werden. Entsprechend bleibt der jeweilige Mitarbeitende für "seinen" BYOA verantwortlich.

Anders als bei Bring Your Own Device genügt es bei BYOA jedoch nicht, vor allem auf sichere Hard- und Software beziehungsweise die "Maschine" zu fokussieren. Fehlentscheidungen, "rogue actions" (das heisst eigenmächtiges Handeln des Agenten) und andere unerwünschte Aktionen persönlicher AI Agents sind eher die Folge von unangemessenem Verhalten beziehungsweise fehlerhafter Zielinterpretation, Tool-Nutzung, Entscheidungswegen oder Einbindung in Arbeitsprozesse als von Hardwarefehlern. Eine Herausforderung beim Festlegen angemessener Gegenmassnahmen kann sein, dass bei persönlichen oder selbst konfigurierten Multi-Agent-Systemen allenfalls unklar ist, aus welchen Modellen, Tools, Schnittstellen, Unteragenten und Datenquellen sie bestehen und wie sie zu Ergebnissen gelangen. Intransparent kann zudem sein, mit welchen Daten der mitgebrachte AI Agent in der Vergangenheit gefüttert wurde. Dazu können etwa frühere Prompts, Konfigurationen oder Informationen früherer Arbeitgeber zählen. Wenn solche Informationen ohnehin öffentlich verfügbar sind, kann dies harmlos sein. "Erinnert" sich der persönliche AI Agent aber etwa an Geschäftsgeheimnisse des alten Arbeitgebers und fliessen diese in Outputs für den neuen Arbeitgeber ein, können sich Mitarbeitende unter Umständen strafbar machen. Die zuverlässige Bereinigung um solche Informationen kann schwierig sein, da solches Wissen nicht als Datei in einem AI Agent vorliegt, sondern als mathematische Grösse in den Parametern. Angesichts der Gefahr, dass Unternehmensdaten dauerhaft "memorisiert" werden, liegt es nahe, "BYOA" nicht in gleichem Umfang Zugriff auf Daten und Systeme zu gewähren wie AI Agents, deren Einsatz vom Unternehmen veranlasst wird. Derlei Beschränkungen vermindern mutmasslich aber auch den Nutzen von "BYOA" für die jeweiligen Mitarbeitenden. Je weniger Zugriffsrechte ein AI Agent hat, desto beschränkter ist seine Handlungsfähigkeit – und desto mehr muss weiterhin manuell erledigt werden.

Sind Unternehmen bereit, "BYOA" in ihrer Organisation zuzulassen, empfiehlt sich aus den genannten Überlegungen vor deren Freigabe durch die zuständigen Businessfunktionen eine "Due Diligence" sowie die Umsetzung von technischen und organisatorischen Massnahmen. Rollen- und Zugriffskonzepte verdienen aus den genannten Gründen dabei besondere Aufmerksamkeit.

Technische und organisatorische Massnahmen

Um die zuvor beispielhaft genannten Risiken beim Einsatz von (persönlichen) AI Agents auf ein angemessenes Mass zu minimieren, bieten sich unter anderem folgende technische und organisatorische Massnahmen an:

Ziele, Rollen und Zugriffsrechte: Für AI Agents sollten klare Ziele definiert werden. Aus diesen Zielen kann sodann abgeleitet werden, auf welche Systeme und Datenbanken für die Zielerreichung unbedingt zugegriffen werden muss. Berechtigungen von AI Agents sollten auf das erforderliche Minimum beschränkt sein. Hierfür bietet sich die Umsetzung geeigneter Authentifizierungs-, Autorisierungs- und Zugriffskontrollen an. Unnötige Autonomie sollte vermieden werden.

Klare Grenzen: Zudem sollten Grenzen der Zielerreichung vorgegeben sein, um zu verhindern, dass AI Agents unerwünschte Aktionen durchführen oder missliebige Entscheidungen treffen. Diese Grenzen können technischer Natur sein (z. B. eingeschränkte Ausführungsumgebungen wie separate Sandboxes, Netzwerksegmentierung oder eingeschränkte APIs). Ein wesentlicher Faktor dafür, dass ein AI Agent nicht auf Abwege gerät, ist auch die Datenqualität. Besteht im oben genannten Beispiel der Kundenreklama­tion kein verbindlicher Leitfaden für den Kundenservice, in dem klare Kriterien für eine zulässige Rückgabe definiert sind (etwa die seit der Lieferung verstrichene Zeit), und kein Datenset bisheriger Kulanzentscheide, fehlt dem AI Agent die benötigte Datenqualität für zuverlässige Entscheide.

Tests, Massnahmen und Kontrollen – auch zwischen AI Agents: Um missbräuchlichen Angriffen Dritter zu begegnen, sollten alle Eingaben überprüft und gegebenenfalls um unzuverlässige Daten bereinigt ("sanitized") werden, um missbräuchliche Ausführungen zu verhindern. AI Agents sollten für die jeweilige Aktion ihre Berechtigung nachweisen müssen. Kommunizieren verschiedene AI Agents miteinander, ist unter anderem sinnvoll, dass diese sich gegenseitig authentifizieren und ihre Interaktion überwacht wird, um Anomalien zu erkennen. Bei einem sensiblen Einsatzumfeld oder bei irreversiblen Aktionen kann es sinnvoll sein, eine menschliche Überprüfung ("Human in the Loop") vorzusehen (sofern dies nach den unternehmensinternen Richtlinien nicht ohnehin gilt).

Fazit

Bring Your Own Agent dürfte künftig im Schweizer Unternehmenskontext an Bedeutung gewinnen. Unternehmen, bei denen sich ein Bedarf nach "BYOA" abzeichnet, sollten sich deshalb frühzeitig mit dieser Entwicklung auseinandersetzen und den Einsatz persönlicher AI Agents bei der Implementierung und Weiterentwicklung ihrer AI-Governance-Strukturen mitdenken. Ein kontrollierter Ansatz mit klaren Prüf- und Freigabeprozessen, technischen und organisatorischen Massnahmen wie beschränkten Zugriffsrechten und menschlicher Verantwortung erscheint dabei grundsätzlich sachgerechter als eine unkontrollierte Zulassung oder ein womöglich schwer durchsetzbares generelles Verbot. Alternativ könnten Unternehmen ihren Mitarbeitenden personalisierbare AI Agents zur Verfügung stellen, die ebenfalls den Regeln und Prozessen der internen Governance unterliegen.

Die Bedeutung von "BYOA" erschöpft sich letztlich nicht nur in Governance-Fragen. Der Ansatz akzentuiert zugleich ein verändertes Verständnis beruflicher Kompetenz: Mitarbeitende, die Aufgaben zunehmend mithilfe von AI Agents erledigen, werden künftig nicht mehr nur an klassischen Fähigkeiten und Fachwissen gemessen, sondern auch daran, wie wirksam sie spezialisierte AI Agents steuern, überwachen und in bestehende Arbeitsabläufe integrieren. Damit entwickeln sie sich in verschiedenen Arbeitskontexten zu einem wichtigen Treiber von Innovationskraft und Effizienzsteigerung ihres Arbeitgebers.

Der Beitrag spiegelt die persönlichen Meinungen der Autorinnen wider.

Quellen

(1) Vgl. Andrea Belliger, Auf dem Weg zur agentischen ­Organisation, Netzwoche vom 27.05.2026. Bei einem AI Agent handelt es sich vereinfacht gesagt um ein "vernetztes Zielerreichungssystem".

(2) Vgl. McKinsey, Seizing the agentic AI advantage, S. 16.

(3) Vgl. zu den Begriffsdefinitionen Google, Was ist ein KI-Agent; IBM, Der Leitfaden zu KI-Agenten 2026; IMDA, Model AI Governance Framework for Agentic AI (Version 1.5).

(4) Vgl. OWASP, Top 10 for Agentic Applications for 2026.

(5) Kumayama Ken et al., AI agents: greater capabilities and enhanced risks.